Cuánto cuesta proteger una pyme de un ciberataque

Proteger una pyme de diez empleados con lo básico cuesta bastante menos de lo que suele pensarse. Con precios de catálogo consultados en octubre de 2026, un antimalware de empresa con detección y respuesta (EDR) sale por 2,60 euros por usuario y mes, un gestor de contraseñas para equipos por 4 dólares y cada terabyte de copia en la nube por 6,95 dólares al mes. Sumado, la capa mínima de ciberseguridad para pymes de ese tamaño se queda en unos 312 euros más 563 dólares al año, sin IVA y sin contar las horas del técnico que lo instale.

Lo que se dispara es lo que viene después: la monitorización 24 horas, las auditorías y el ciberseguro se presupuestan caso a caso y no tienen tarifa pública fiable. Aquí va el desglose pieza a pieza, un cálculo completo, lo que puede costar un incidente y las ayudas y recursos gratuitos que siguen en pie a 23 de octubre de 2026.

Cuánto cuesta la ciberseguridad de una pyme según el nivel de protección

El coste depende del nivel que elijas. La formación y la asistencia de INCIBE son gratuitas; la protección técnica básica para diez personas cuesta unas decenas de euros al mes, y los servicios gestionados, las auditorías y los seguros se pagan bajo presupuesto.

Los precios son de referencia para que tengas un orden de magnitud. No son recomendaciones de marca: hay alternativas equivalentes y las tarifas cambian según volumen, permanencia y distribuidor.

Qué piezas forman una protección básica y cuánto vale cada una

Una protección básica para una pyme combina un antimalware con detección y respuesta en cada equipo, contraseñas únicas gestionadas, doble factor de autenticación, copias de seguridad fuera de la oficina y algo de formación a la plantilla. La parte que se paga son las herramientas; la formación puede salir gratis.

Para saber qué debe traer un paquete básico, sirve de vara de medir la definición que hizo el propio programa Kit Digital de su solución de ciberseguridad: antimalware y antispyware, análisis del correo, antispam, antiphishing, navegación segura, antiadware, análisis y detección de amenazas, monitorización de la red, configuración inicial, actualizaciones de seguridad, formación para configurar el software y un kit de concienciación. Si una oferta de «antivirus para empresas» no cubre buena parte de esa lista, es otra cosa.

Dos matices. El almacenamiento en la nube es solo el disco: hace falta un programa de copias o un NAS que envíe los datos allí, y ese software no está en el cálculo. Y la política de copias que propone INCIBE pide más que contratar espacio: guardar al menos una copia completa fuera de la organización, cifrar las que contienen información confidencial o van a la nube y fijar cada cuánto se comprueba que se pueden restaurar.

El doble factor merece párrafo propio. Es la medida más barata porque suele bastar con activar una opción en servicios que ya pagas. Hazlo antes de comprar nada.

Ejemplo de cálculo para una pyme de 10 personas

Para diez usuarios, la capa básica con piezas sueltas cuesta 312 euros al año de EDR, 480 dólares de gestor de contraseñas y 83,40 dólares por un terabyte de copia en la nube. Por persona sale a 2,60 euros más unos 4,70 dólares al mes, más las horas de instalación que presupueste el técnico.

La alternativa, si la empresa ya paga una suite ofimática en la nube, es subir al plan que trae la seguridad dentro. Con las tarifas de octubre de 2026, el plan de empresa que incluye esas funciones cuesta 19,06 euros por usuario al mes con pago anual y sin IVA (16,28 en la versión sin Teams): 2.287,20 euros al año para diez empleados, ofimática y correo incluidos. A cambio, el EDR, la gestión de los portátiles y móviles y el control de identidades quedan en la misma consola. Las copias fuera de la oficina siguen siendo aparte.

¿Cuál conviene? Depende de lo que ya tengas montado. Si el correo está en otro proveedor, las piezas sueltas salen más baratas; si ya estás en esa suite, el salto de plan simplifica mucho la gestión. Pide al técnico que te lo calcule con tus licencias reales.

Lo que puede costar un ciberataque a una pyme

No existe una cifra oficial y fiable del coste medio de un ciberataque para una pyme española. Las estimaciones que circulan van de unos pocos miles a decenas de miles de euros y casi ninguna explica cómo se han calculado, así que lo útil es hacer la cuenta con los datos de tu propia empresa.

Lo que sí está medido es la frecuencia. INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que en 2024; 55.411 fueron casos de malware y 25.133 de phishing. Su línea de ayuda 017 recibió 142.767 consultas, un 44,9 % más. En la encuesta de ciberpreparación de Hiscox de 2025, hecha a 5.750 empresas de siete países (1.000 de ellas en España) entre julio y agosto de 2025, el 59 % dijo haber sufrido al menos un ciberataque en los doce meses anteriores, y las de 1 a 10 empleados que fueron atacadas sufrieron una media de cuatro.

Sobre cómo entran, el informe de Verizon sobre brechas de datos de 2026 señala que el 48 % de las brechas analizadas implica ransomware y que la explotación de vulnerabilidades de software ya es la primera vía de entrada, con un 31 %. Traducido: los parches y las actualizaciones cuentan tanto como el antivirus.

Para calcular tu exposición, suma estas partidas:

Un ejemplo con números redondos. Una empresa que factura 1,2 millones de euros al año y trabaja 240 días ingresa de media 5.000 euros al día. Cinco días con los equipos cifrados son 25.000 euros de ventas que no entran ese mes, antes de pagar a nadie por la recuperación. Comparado con los 312 euros más 563 dólares anuales de la capa básica, la cuenta sale sola, aunque ninguna herramienta garantiza que no te ataquen.

Cuándo compensa pagar un servicio gestionado, una auditoría o consultoría

Un servicio de ciberseguridad gestionada compensa cuando nadie en la empresa puede vigilar las alertas, sobre todo fuera del horario laboral. Las auditorías y la consultoría tienen sentido si tratas datos sensibles, vendes online o un cliente grande te exige demostrar medidas. Ninguno tiene precio público fiable: se pide presupuesto con el alcance cerrado.

Para comparar ofertas de servicio gestionado, otra vez sirve la definición del Kit Digital, que lo exigía con instalación y configuración inicial, detección y respuesta en los equipos, selección de las fuentes que se vigilan, alertas, acceso a un equipo de expertos, monitorización 24x7x365, búsqueda, contención y respuesta ante amenazas e informes mensuales. El programa subvencionaba hasta 200 euros por dispositivo a empresas de 50 a 249 empleados. Ojo: eso era el tope de la ayuda, no el precio de mercado.

Con las auditorías y las pruebas de intrusión no hemos encontrado ninguna fuente con metodología que publique rangos de precio para pymes en España, así que no damos cifras. Lo que mueve el presupuesto es el alcance: cuántos equipos y servidores entran, si se revisa la web o la tienda online, si la prueba es solo desde fuera o también desde dentro de la red. Pide al menos dos ofertas sobre el mismo alcance escrito; si no, comparas cosas distintas.

Qué cubre un seguro de ciberriesgo y qué mira la aseguradora

Un seguro de ciberriesgo paga parte de las consecuencias de un incidente: gestión técnica del ataque, recuperación de datos, ingresos perdidos, daños a terceros y asesoramiento legal, según cómo esté redactada la póliza. Su precio depende de tu historial de ataques, del tipo de datos que manejas y del tamaño de la empresa, y no sustituye a las medidas preventivas.

Así lo resume INCIBE, que añade dos exclusiones habituales: los daños causados de forma deliberada por el asegurado y las reclamaciones por hechos anteriores a la contratación. Para planificar la contratación remite a la norma ISO/IEC 27102, dedicada a los seguros cibernéticos.

No damos un rango de precio porque no hemos encontrado datos de primas para pymes españolas con fuente y metodología. Lo que sí sabemos es que el seguro está extendido en empresas muy pequeñas: en la encuesta de Hiscox de 2025, el 65 % de las empresas de hasta 10 empleados decía tener cobertura ciber. Antes de firmar, compara tres cosas en cada oferta: el límite de indemnización, la franquicia y la lista de exclusiones. Un corredor de seguros puede ayudarte a leer la letra pequeña.

Ayudas y recursos gratuitos que siguen disponibles en 2026

A 23 de octubre de 2026 no hay convocatoria abierta del Kit Digital para nuevas solicitudes, pero INCIBE mantiene gratis su línea 017, un kit de concienciación descargable, un curso para micropymes y autónomos y herramientas de autodiagnóstico.

La última convocatoria del Kit Digital dejó de admitir solicitudes el 31 de octubre de 2025. Después, la Orden TDF/39/2026, publicada en el BOE el 28 de enero de 2026, estableció que el programa se aplica hasta agotar sus fondos, sin fijar fechas. Puede haber nuevas convocatorias, pero no cuentes con ellas para cuadrar el presupuesto: compruébalo en Acelera pyme o en Red.es antes de decidir.

Lo de INCIBE no depende de convocatorias:

• Línea 017. Gratuita y confidencial, todos los días de 8:00 a 23:00. También por WhatsApp (900 116 117, guardándolo antes en la agenda), por Telegram (@INCIBE017) y por formulario web. Atiende a empresas y profesionales.
• Kit de concienciación. Material para formar a la plantilla, pensado para pymes y microempresas de cualquier sector y sin necesidad de conocimientos técnicos. Se descarga desde la web de INCIBE.
• Curso para micropymes y autónomos. Gratuito, unas 30 horas repartidas en siete semanas. Cuando se escribió este artículo, la inscripción del curso general estaba cerrada; conviene vigilar la siguiente edición.
• «¿Conoces tus riesgos?» y políticas de seguridad. Autodiagnóstico y plantillas de políticas, entre ellas la de copias de seguridad.

Estos recursos cubren casi todo el bloque de hábitos de ciberseguridad para pymes (contraseñas, correo fraudulento, uso de dispositivos) sin gastar un euro.

Obligaciones legales que conviene tener en el presupuesto

Toda pyme que trate datos personales está sujeta al Reglamento General de Protección de Datos: si sufre una brecha que suponga riesgo para las personas, tiene que notificarla a la autoridad de control en un máximo de 72 horas desde que tenga constancia, y avisar a los afectados sin dilación indebida si el riesgo es alto.

Esas 72 horas son la razón por la que conviene tener pactado de antemano con quién llamas si pasa algo. Un proveedor que tarda dos días en contestar te deja sin margen.

La directiva europea NIS2 es otra historia. Con carácter general se aplica a empresas medianas y grandes de sectores concretos, como energía, transporte, salud, agua, infraestructura digital, alimentación o gestión de residuos, aunque los Estados pueden incluir a algunas pequeñas con un papel relevante. El anteproyecto de ley que la traspone en España se aprobó en enero de 2025. Una pyme pequeña puede notarla de rebote: las entidades obligadas deben evaluar la seguridad de sus proveedores, y es probable que te pidan pruebas de tus medidas si les vendes. Para saber si te afecta directamente, consulta con un abogado especializado o con tu delegado de protección de datos.

Qué preguntar al proveedor antes de firmar

Antes de contratar servicios de ciberseguridad para tu pyme, pide por escrito qué cubre la cuota, cuánto tardan en responder y qué pasa con tus datos si te vas. INCIBE recomienda no elegir proveedor tecnológico solo por precio y ofrece modelos gratuitos de acuerdo de confidencialidad y de acuerdo de nivel de servicio.

Lista de comprobación para la reunión:

1. ¿Qué incluye exactamente la cuota mensual y qué se factura aparte, como horas extra o la atención de un incidente?
2. ¿Cuál es el tiempo de respuesta comprometido y está en un acuerdo de nivel de servicio firmado?
3. ¿La vigilancia es 24×7 o solo en horario de oficina?
4. ¿Dónde se guardan las copias, están cifradas y hay al menos una fuera de la empresa?
5. ¿Cada cuánto prueban a restaurar una copia y me envían el resultado?
6. ¿Firmáis acuerdo de confidencialidad y contrato de encargado del tratamiento de datos?
7. ¿Qué informes recibo cada mes y quién me los explica?
8. Si cambio de proveedor, ¿cómo me devolvéis los datos y las credenciales?
9. Si tengo un incidente un sábado, ¿a qué número llamo y quién contesta?

Si alguna respuesta es vaga, pide que la concreten en el contrato.

Preguntas frecuentes

¿Basta con un antivirus gratuito para una pyme?

Normalmente no. La solución de ciberseguridad que definía el Kit Digital incluía además análisis del correo, antiphishing, navegación segura, monitorización de la red y actualizaciones. Y como la explotación de vulnerabilidades es hoy la primera vía de entrada según Verizon, tener los equipos al día pesa tanto como el antimalware.

¿Cuánto cuesta una auditoría de ciberseguridad para una pyme?

No hay un rango público verificable. El precio depende del alcance (número de equipos, servidores, web, pruebas externas o internas). Pide al menos dos presupuestos sobre el mismo alcance por escrito y que detallen qué entregan al final.

¿Tiene sentido la ciberseguridad gestionada para una empresa de menos de diez personas?

Solo si no hay nadie que pueda revisar alertas y el negocio no aguanta una parada. Para muchas microempresas, la capa básica con EDR, doble factor, copias probadas y formación de INCIBE es un punto de partida razonable; el servicio gestionado se plantea después.

Fuentes

• INCIBE. INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025 (9-2-2026).
• INCIBE. Línea de Ayuda en Ciberseguridad 017 (consultado 23-10-2026).
• INCIBE. Kit de concienciación (consultado 23-10-2026).
• INCIBE. Ciberseguridad para micropymes y autónomos (consultado 23-10-2026).
• INCIBE. Políticas de seguridad para la pyme: copias de seguridad.
• INCIBE. El riesgo ciber, máxima prioridad para pymes y autónomos (14-2-2023).
• INCIBE. Contratación de servicios (consultado 23-10-2026).
• BOE. Orden TDF/39/2026, de 26 de enero, que modifica las bases del Programa Kit Digital (BOE 28-1-2026).
• Oficina Acelera Pyme CIDAUT. Programa Kit Digital, catálogo de soluciones (2024).
• Copilot Gestoría. Kit Digital 2026: Orden TDF/39/2026 (13-7-2026), para la fecha de cierre de la última convocatoria.
• Reglamento (UE) 2016/679, texto en el DOUE vía BOE, considerandos 85 y 86 y artículos 33 y 34.
• Directiva (UE) 2022/2555 (NIS2), texto en EUR-Lex, considerando 7.
• Cuatrecasas. Aprobado el Anteproyecto de Ley que transpone la Directiva NIS2 (15-1-2025).
• Hiscox. Informe de ciberpreparación 2025 (octubre de 2025).
• Verizon. Data Breach Investigations Report 2026 (consultado 23-10-2026).
• Microsoft. Microsoft 365 Empresa Premium y Microsoft Defender para Empresas, tarifas consultadas el 23-10-2026.
• Bitwarden. Precios para empresas, consultado el 23-10-2026.
• Backblaze. Precios de B2 Cloud Storage, consultado el 23-10-2026.